内部統制報告書の監査って、経営者評価手続きをする前に監査手続きはできへんよな。。。
こんにちは、丸山満彦です。先日、大阪で監査をしている人に「内部統制報告書の監査って、経営者評価手続きをする前に監査手続きはできへんよな。。。」という話をしたら
「そらそうやなぁ。。。経営者評価が適切に行われているかも監査しなあかんねんから。。。」という回答でした。
そうなんです。米国の新しい方法（ダイレクトレポーティングのみ）であれば、個々の業務プロセスの経営者評価が終わっていなくても監査人が直接内部統制を評価できるのですが、日本の方式の場合は、経営者評価が終わらないと監査手続が実施できませんから、大変なんですよね。。。
従来の財務報告の監査と内部統制の監査は同時に進めることになりますね。そうすると、監査人は監査人で監査計画があります。その監査計画と経営者評価の評価計画の調整も必要となりますね。。。
3月決算の会社であれば、7月、8月くらいから経営者評価本番をできるところから開始していくことになると思うのですが、そろそろ経営者評価イメージも持っていないとリソースの確保も難しいですよね。。。
間に合うのかなぁ・・・
Comments
はじめまして。
現在、内部統制の整備構築に携わっているものです。
この件については、実施基準が公表された段階でその内容からも明らかであるにもかかわらず、ほとんどの人の認識が浅いです。
それゆえなかなか具体化へのアクションにつながりません。
監査計画前に、評価体制を整えて、評価計画（評価範囲、評価手続、評価スケジュール等々）を策定するのって相当大変なんですけれども。。。
その上、内部統制監査がつつがなく行われるようにそれ以前に評価手続きが計画通りに実施されなければいけないというのはますますもって大変ですよね。
さらに、評価期間全般にわたって必要となる、経営者、内部統制評価部門、取締役会、監査役、監査人の個々の活動と活動結果の情報伝達体制と是正・改善活動との連携体制の構築という、大がかりであり最も重要な取り組みも、前述したことが整理されていなければ、当然取り掛かれるわけもありません。
どうすれば危機感を抱いてもらえるのでしょうか。。。
それとも危機感が大きすぎて目をつむるもしくは目をそらしているのでしょうか。。。
とても『ヤバい』です。
ついでですが、JICPAの委員会報告の公開草案の「重要な欠陥」の項目に関する記述で「潜在性」について明示されたことに、どれほどの人が反応し、「うわっ！はっきりと示されてしまった！対応を考えないと！」って、企業側も監査人側も思っているでしょうか？
Posted by: HISAEMON | 2007.07.29 01:24
コンピュータ屋です。
おはようございます。
「3月決算の会社であれば、7月、8月くらいから経営者評価本番をできるところから開始していくことになると思うのですが、」
そうですよね。
内部統制の評価をお手伝いしている立場からして、おっしゃっていることが今一番の心配です。
３点セットの真っ盛りなところでは、眼中にないと言うことでしょうか。
監査人さんの監査以外に、内部監査人の監査、監査役の監査まで絡んできます。
来年の今頃、どうなっているのでしょうか。
Posted by: コンピュータ屋 | 2007.07.29 09:12
HISAEMONさん、コンピュータ屋さん、コメントありがとうございます。。。
> とても『ヤバい』です。
そうですよね。。。
> ３点セットの真っ盛りなところでは、眼中にないと言うことでしょうか。
目先の文書化及び整備状況の不備の改善に精一杯で、評価作業の具体的なイメージがついていないのでしょうかね。。。
評価作業から逆算してスケジューリングをするべきタイミングですかね・・・
Posted by: 丸山満彦 | 2007.07.30 07:49
ちょっとトピずれのコメントですが。
米国のAS5でも（AS2より以上に）、監査効率化の観点から「外部監査人による内部監査の利用」が求められていると思っています。
ダイレクトレポーティングの場合は、開き直って「外部監査人が全て直接評価を行う」も可能とは思いますが、そのような場合はほとんど無いかと思います。
内部監査体制の確立は、もうそろそろ視野に入れておかないといけないですね。米国では「独立した内部監査部門の担当者であっても、担当者の出身部署の監査を行のであれば、（外部監査人は）内部監査の利用にあたって気を付けなければいけない」みたいな話もあったかと思うのですが。＜うろ覚えです。
ITなんて専門性が高いので、ITを担当する内部監査人をシステム部門以外から選任できる企業がどれだけあるのでしょう？内部監査のアウトソース？日本基準ではそこまで気にしなくても良いかもしれませんが。
多少人選が緩くてもOKだとしても、組織を立ち上げるとなると時間がかかるものと思います。
また、スケジュールに関していれば、ある程度の「不備」が見つかることを前提に、その訂正期間も考慮しておかないと、「不備の発見が期末ぎりぎりのため、時間切れで不備が直せない」「不備を直しても内部監査人・外部監査人が確認できる余裕がない」ことになってしまう可能性がありますね。往査拠点が国内・海外にまたがっていると、関係者のスケジュール調整だけでも時間がかかりますし。
Posted by: Mulligan | 2007.07.30 20:35
Mulliganさん、コメントありがとうございます。
＝＝＝＝＝
ダイレクトレポーティングの場合は、開き直って「外部監査人が全て直接評価を行う」も可能とは思いますが、そのような場合はほとんど無いかと思います。
＝＝＝＝＝
はい。実際は、そのとおりだと思います。
で、 Mulliganさんが指摘しているとおりIT統制の内部統制の評価がちゃんとできるかどうかは心配な点ですね。あと海外も。。。
次に、不備の話ですが、不備を是正する時間をとらないとですよね。。。もちろん、小さな不備は是正しなくても問題がない場合もありますけどね。。。
いずれにしても、不備の集計＝＞不備の是正の決断＝＞不備の是正活動＝＞経営者評価＝＞監査が必要ですよね。。。
Posted by: 丸山満彦 | 2007.07.31 01:21